2023年全国职业院校技能大赛-GZ073网络系统管理赛项-赛题第9套模块A：网络构建

任务清单

基础配置

根据附录1拓扑图及附录2地址规划表，配置设备接口信息；
在网络设备上，均开启SSH服务端功能。其中，用户名和密码为admin、admin123。密码为明文类型。特权密码为admin1234；
交换设备上部署SNMP功能。配置所有设备SNMP消息，向主机172.16.0.254发送Trap消息版本采用V2C，读写的Community为“Test@123”，只读的Community为“public@123”，开启Trap消息。

有线网络配置

在全网Trunk链路上做VLAN修剪；
在S1开启Portfast和BPDUguard防护功能。检测到环路后处理方式Shutdown-Port。如果端口检测进入 Err-Disabled状态，300 秒后会自动恢复（基于接口部署策略）；
在S1交换机部署DHCP Snooping功能；
在S1开启 RLDP防止环路，检测到环路后处理方式为 Shutdown-Port；
在S3、S4上配置DHCP中继，对VLAN10内的用户进行中继，DHCP服务器搭建于EG1上，地址池命名为Pool_VLAN10，DHCP对外服务使用loopback 0地址；
分校S5交换机配置Private Vlan；
配置MSTP,要求所有有线数据流经过S3转发，S3失效时经过S4转发。所配置的参数要求如下：region-name为ruijie；revision版本为1；S3作为实例中的主根， S4作为实例中的从根；主根优先级为4096，从根优先级为8192；
在S3和S4上配置VRRP，各VRRP组中高优先级设置为150，低优先级设置为120，所配置的参数要求如表1；

表1 S3和S4的VRRP参数表

VLAN	VRRP备份组号（VRID）	VRRP虚拟IP
VLAN10	10	192.1.10.254
VLAN20	20	192.1.20.254
VLAN30	30	192.1.30.254
VLAN40	40	192.1.40.254
VLAN100	100	192.1.100.254

本部与分校内网均使用OSPF协议组网，本部、分校与互联网间使用静态路由协议；
S3、S4、EG1、AC1、AC2间运行OSPF，进程号为10，规划多区域：区域0（S3、S4、EG1），区域1（S3、S4、AC1、AC2）；
AC1、AC2 OSPF接口不参与DR/BDR选举；区域1部署为完全NSSA简化AC1,AC2路由条目；
分部EG2、S5间运行OSPF，进程号为10，规划单区域：区域0（EG2、S5）；
要求业务网段中不出现协议报文；要求所有路由协议都发布具体网段；为了管理方便，需要发布Loopback地址；
优化OSPF相关配置，以尽量加快OSPF收敛；重发布路由进OSPF中使用类型1；
总部与分校部署IPV6网络实现总分机构内网IPV6终端可自动从网关处获取地址；
S3和S4上配置VRRP for IPv6，实现主机的IPv6网关冗余;VRRP与MSTP的主备状态与IPV4网络一致；
驻外办事处内网均部署OSPFV3协议，进程号10，区域号为0；
驻外办事处间S6/S7通过Gre隧道实现办事处间局域网IPV6终端互联互通,且隧道内运行OSPFV3协议；
驻外办事处间部署IPV6网络实现办事处间IPV6业务终端互联互通，地址规划如表2：

表2 IPV6地址规划表

设备	接口	IPV6地址	VRRP组号	虚拟IP
S3	VLAN10	2001:192:10::252/64	10	2001:192:10::254/64
	VLAN20	2001:192:20::252/64	20	2001:192:20::254/64
	VLAN30	2001:192:30::252/64	30	2001:192:30::254/64
	VLAN40	2001:192:40::252/64	40	2001:192:40::254/64
S4	VLAN10	2001:192:10::253/64	10	2001:192:10::254/64
	VLAN20	2001:192:20::253/64	20	2001:192:20::254/64
	VLAN30	2001:192:30::253/64	30	2001:192:30::254/64
	VLAN40	2001:192:40::253/64	40	2001:192:40::254/64
S5	VLAN10	2001:194:10::254/64
	VLAN20	2001:194:20::254/64
	VLAN30	2001:194:30::254/64
	VLAN40	2001:194:40::254/64
S6	VLAN10	2001:195:10::254/64
	VLAN20	2001:195:20::254/64
	Tunnel0	2001:193:10::253/64
S7	VLAN10	2001:196:10::254/64
	VLAN20	2001:196:20::254/64
	Tunnel0	2001:193:10::254/64

R1、R2、R3部署IGP使用OSPF动态路由实现直连网段互联互通；
S6、S7关于IGP协议只维护直连路由，不使用任何路由协议；
R1、R2及R2、R3间部署IBGP,AS号为100, 使用Loopback接口建立Peer;部署R2作为R1与R3的路由反射器RR；
R1、S6部署EBGP，AS号为110，使用直连接口建立Peer;R3、S7部署EBGP，AS号为120, 使用直连接口建立Peer；
办事处业务网段通告至二级运营商的路由条目只有一条汇总后的B段路由，且保证汇总后路径信息不丢失；
二级运营商通告宽带业务接入网段至办事处，R1处以汇总B段静态路由的方式进行发布；
北京分校不同业务部门对于上海与杭州驻外办事处有业务互访需求，具体要求如下：分校内网VLAN10终端通过R1服务节点中转访问上海办事处；分校内网VLAN40终端通过R3服务节点中转访问杭州办事处；当EG2与R1、R3服务节点间链路失效时，可自动切换到R2服务节点进行转发；Route-map策略名为Fenliu；分校VLAN10流量由ACL101（编号101）来定义；分校VLAN40流量由ACL102（编号102）来定义；
为加快广域网线路异常时策略路由可快速收敛转发，为此部署Track检测，编号Track1, Track2, Track3分别检测本端广域网联通，电信，教育网接口状态，一旦接口协议状态为DOWN即刻进行切换；
考虑到数据分流及负载均衡的目的，具体要求如下：可通过修改OSPF 路由COST达到分流的目的，且其值必须为5或10；本部有线IPV4用户与互联网互通主路径规划为：S3-EG1;本部无线IPV4用户与互联网互通主路径规划为：AC2-S4-EG1;主链路故障时可无缝切换到多条备用链路上；
二级运营商R3服务节点在G0/0接口做流量监管，上行报文流量不能超过10Mbps，Burst-normal为1M bytes, burst-max为2M bytes如果超过流量限制则将违规报文丢弃。

无线网络配置

集团企业广州分部医学院需要部署Wi-Fi网络，购置网络设备的预算为12万，除卫生间、楼梯间和电梯区域无需覆盖，其它都需重点覆盖。平面布局如图1所示。

图1 平面布局图

绘制AP点位图（包括：AP型号、编号、信道等信息，其中信道采用2.4G的1、6、11三个信道进行规划，卫生间、楼梯和电梯区域无须覆盖）；
使用无线地勘软件，输出AP点位图的2.4G频道的信号仿真热图（仿真信号强度要求大于-65db）；
输出该无线网络工程项目设备的预算表，网络设备型号和价格依据表3；

表3 无线产品价格表

产品型号	产品特征	传输速率（2.4G/最大）	推荐/最大带点数	功率	价格（元）
AP1	双频双流	300M/1.167G	32/256	100mw	6000
AP2	双频双流	300M/600M	32/256	100mw	11000
AP3	单频单流	150M	12/32	60mw	2500
线缆1	10米馈线	N/A	N/A	N/A	1600
线缆2	15米馈线	N/A	N/A	N/A	2400
天线	双频单流/单频单流	N/A	N/A	N/A	500
Switch	24口POE交换机	N/A	N/A	240w	15000
AC	无线控制器	6*1000M	32/200	40w	50000

使用AC1和AC2作为总部无线用户和无线AP的DHCP 服务器，使用S5作为分校无线用户和无线AP的DHCP服务器；
创建总部内网 SSID 为 Ruijie-BX_XX(XX现场提供)，WLAN ID 为1，AP-Group为BX，本部内网无线用户关联SSID后可自动获取地址；
总部AC2为主用，AC1为备用。AP与AC1、AC2均建立隧道，当AP与AC2失去连接时能无缝切换至AC1并提供服务；
AP3使用无线AP胖模式，以透明模式进行部署，S5部署DHCP服务为无线终端及AP分配地址,且AP每次均获取地址均为194.1.20.2；
AP3创建 SSID(WLAN-ID 1) 为 Ruijie-BJ_XX_1(XX现场提供), 分校内网无线用户关联SSID后可自动获取分校VLAN30网段地址；
AP3创建 SSID(WLAN-ID 2) 为 Ruijie-BJ_XX_2(XX现场提供),分校内网无线用户关联SSID后可自动获取分校VLAN40网段地址；
总部无线用户接入无线网络时需要采用WPA2加密方式，加密密码为XX(现场提供)；
为了防御无线局域网ARP欺骗影响用户上网体验，总部配置无线环境ARP欺骗防御功能；
要求总部内网无线网络启用本地转发模式；
为了保障总部每个用户的无线体验，针对WLAN ID 1下的每个用户的下行平均速率为 800KB/s ，突发速率为1600KB/s；
总部每AP最大带点人数为45人；
总部设置用户最小接入信号强度为-65dbm；
总部关闭低速率（11b/g 1M、2M、5M，11a 6M、9M）应用接入。

出口网络配置

出口网关上进行NAT配置实现本部与分校的所有用户均可访问互联网，通过NAPT方式将内网用户IP地址转换到互联网接口上，同时总部用户仅可在周一到周五工作时间09：00-17:00（命名为work）访问互联网；
在本部EG1上配置，使本部核心交换S4（11.1.0.34）设备的SSH服务可以通过互联网被访问，将其地址映射至联通线路上，映射地址为20.1.0.2；
本部内网主机有访问上海办事处S6设备的Telnet服务需求，但本部内网因网络规划要求不能引入外部路由，同时上海办事处网络运维人员考虑安全起见也不希望将S6设备（11.1.0.6）地址对外公布。为此规划在出口网关上进行NAT地址转化将S6真实地址映射至20.1.0.20；
在本部网关上启用Web Portal认证服务，并创建user1、user2，密码均为XX（现场提供）；
本部有线用户需进行WEB认证访问互联网；
本部无线用户不需在EG上进行WEB认证即可访问互联网；
分校EG2联通线路针对访问外网WEB流量限速每IP 1000Kbps，内网WEB总流量不超过50Mbps；
分校EG2周一到周五工作时间09：00-17:00（命名为work）阻断并审计P2P应用软件使用；
本部与分校用户数据流匹配EG内置联通、电信与教育地址库，实现访问联通资源走联通线路，访问电信资源走电信线路，访问教育网资源走教育网线路；
除联通、电信、教育资源之外默认所有数据流在三条线路间进行负载转发；
部署L2TP隧道进行本部对分部路由的对接验证，验证用户名密码均为ruijie，L2TP隧道密码为ruijie;
L2TP用户地址池为12.1.0.1—12.1.0.254，Virtual-Template接口引用本地loopback 1接口地址，Virtual-ppp使用12.1.0.2；
L2TP隧道中承载OSPF协议，使其总部与分部通过OSPF进行路由交互，区域号0；
部署IPSec对L2TP隧道中的业务数据加密；
IPSec VPN需要采用传输模式、预共享密码为 ruijie，加密认证方式为 ESP-3DES、ESP-MD5-HMAC ，DH使用组2;
总分机构间数据通信及加密通过二级运营商R1联通节点作为中转设备；
本部有线IPV4用户与分部IPV4用户互通主路径规划为：S3-EG1-EG2-S5(EG1/EG2间运行VPN隧道)。

（五）网络运维配置

1.完成整网连通后，进入网络监控运维阶段，运维软件已安装在PC1的虚拟机OPMSrv中(访问运维平台的URL为http://192.1.100.100)，通过运维平台监控总部所有设备。

2.通过运维平台将被监控设备纳入监控范围；通过拓扑配置功能，将网络拓扑配置到平台中；

3.将S3、S4和EG1的两条链路作为重点监测链路，纳入链路监控；

4.自定义监控大屏（名称：Chinaskills_network），将网络拓扑、设备运行状态（CPU使用率）、链路运行状态实时显示在大屏中。

（六）SDN网络配置

1.SDN控制器登录地址：：192.168.1.2/24，默认用户密码为admin/test@123。

2.使用S2/S4构建SDN网络，S2连接SDN控制器的6653端口。

3.通过SDN控制器手工给S2下发流表项使其S2下终端可与业务网段互联互通。

附录1：拓扑图

附录2：地址规划表